DNS zehirlenmesi, ad çözümleme sunucusunun önbelleğine sahte kayıt yerleştirilmesidir. Bu kayıt yerleştikten sonra, ilgili alan adını soran tüm kullanıcılar saldırganın belirlediği adrese yönlendirilir.

Saldırının etkisi geniştir; tek bir sunucunun önbelleği zehirlendiğinde o sunucuyu kullanan tüm istemciler etkilenir. Kurumsal ortamda bu, tüm çalışanlar anlamına gelebilir.

Kullanıcı tarafında hiçbir anormallik görünmez. Tarayıcıda doğru alan adı yazılıdır ve kullanıcı doğru siteye gittiğini düşünür.

DNS Zehirlenmesi Nedir?

DNS zehirlenmesi, ad çözümleme sunucusunun önbelleğine sahte yanıtlar yerleştirilerek alan adlarının saldırganın kontrolündeki adreslere çözümlenmesini sağlayan saldırıdır.

Protokolün geleneksel tasarımı, yanıtların kimliğini güçlü biçimde doğrulamaz. Doğru işlem numarası ve kaynak port tahmin edilebilirse sahte yanıt kabul edilebilir.

Bu nedenle savunma, tahmin edilebilirliği azaltmak ve yanıtları kriptografik olarak doğrulamak üzerine kurulmuştur.

Nasıl Gerçekleştirilir?

Klasik yöntemde saldırgan, çözümleyici sunucuya bir sorgu tetikler ve gerçek yanıt gelmeden önce sahte yanıtları gönderir. Doğru parametreleri tutturan yanıt kabul edilir.

Yanıtın kabul edilmesi için hem işlem numarasının hem kaynak portun eşleşmesi gerekir. Rastgele kaynak port kullanımı bu ihtimali belirgin biçimde düşürmüştür.

İkinci yöntem, çözümleyici sunucunun kendisinin ele geçirilmesidir. Bu durumda sahte kayıtlar doğrudan yapılandırmaya eklenebilir.

Üçüncü yöntem, istemcinin ad çözümleme ayarlarının değiştirilmesidir. Zararlı yazılım, cihazın kullandığı sunucuyu saldırganın sunucusuyla değiştirebilir.

• Çözümleyici önbelleğine sahte yanıt yerleştirme
• Ad çözümleme sunucusunun doğrudan ele geçirilmesi
• İstemci ad çözümleme ayarlarının değiştirilmesi
• Yerel ağda sahte yanıtlarla yönlendirme
• Alan adı kayıt hesabının ele geçirilerek kayıtların değiştirilmesi

Nasıl Önlenir?

İlk önlem, yanıtların kriptografik olarak imzalanmasıdır. DNSSEC yanıtların kaynağını ve bütünlüğünü doğrulayarak sahte kayıtların kabul edilmesini engeller.

İkinci önlem, ad çözümleme trafiğinin şifrelenmesidir. Şifreli DNS kullanımı, yol üzerindeki tarafların sorguları görmesini ve değiştirmesini zorlaştırır.

Üçüncü önlem, çözümleyici sunucuların sıkılaştırılmasıdır. Yalnızca kurum içinden sorgu kabul etmeleri ve güncel sürümde çalışmaları gerekir.

Dördüncü önlem, alan adı kayıt hesabının korunmasıdır. Bu hesap ele geçirildiğinde hiçbir teknik önlem sonucu değiştirmez.

Alan Adı Kayıt Güvenliği

Alan adı yönetim hesabı, kurumun en kritik hesaplarından biridir. Bu hesabın ele geçirilmesi, tüm hizmetlerin yönlendirilmesi anlamına gelir.

Hesabın çok faktörlü doğrulamayla korunması ve kayıt kilidi özelliğinin etkinleştirilmesi temel önlemlerdir. Kayıt kilidi, yetkisiz transferleri engeller.

Ayrıca kayıt bilgilerindeki değişikliklerin izlenmesi gerekir. Beklenmedik bir değişiklik, ele geçirmenin ilk işareti olabilir.

Sertifika üretiminin kısıtlanması da ilgili bir önlemdir. CAA kaydı ile yalnızca belirli otoritelerin sertifika üretmesine izin verilir.

Tespit Yöntemleri

Tespit için ad çözümleme kayıtlarının izlenmesi gerekir. Bilinen bir alan adının beklenmedik bir adrese çözümlenmesi güçlü bir işarettir.

Bu izleme, dış referans kaynaklarla karşılaştırma yapılarak güçlendirilebilir. Farklı konumlardan yapılan sorguların aynı sonucu vermesi beklenir.

Ayrıca kısa yaşam süreli ve olağandışı kayıtlar incelenir. DNS log analizi bu incelemeyi mümkün kılar.

Ad Çözümleme Mimarisinin Kurulumu

Sağlıklı bir ad çözümleme mimarisi, iç ve dış çözümlemeyi ayırarak kurulur. İç sorgular yalnızca kurum içi sunuculara, dış sorgular ise kontrollü çıkış noktalarına yönlendirilir. Bu ayrım, iç ad alanının dışarıya sızmasını engeller. Ayrıca istemcilerin doğrudan dış sunuculara sorgu göndermesi kısıtlanır. Kısıtlama, hem güvenlik hem görünürlük açısından değerlidir.

İstemcilerin doğrudan dış ad çözümleme sunucularına erişmesi engellenmediğinde, kurumun trafiğe dair görünürlüğü kaybolur. Zararlı yazılımlar bu yolu kullanarak komuta kontrol iletişimi kurabilir. Bu nedenle çıkış filtrelemesiyle ilgili port yalnızca onaylı sunuculara açılır. Şifreli ad çözümleme kullanan uygulamalar için de politika belirlenmelidir. Aksi hâlde şifreli kanallar denetim dışı kalır.

Çözümleyici sunucuların yedekli kurulması da gereklidir. Ad çözümleme, neredeyse tüm hizmetlerin ön koşuludur ve kesintisi ortamı durdurur. Yedeklilik, hem donanım hem konum düzeyinde planlanır. Ayrıca sunucuların kapasitesi saldırı senaryolarına göre boyutlandırılır. Hizmet reddi saldırıları bu katmanı sık hedef alır.

Kayıt Yönetimi ve Temizlik

Zaman içinde birikmiş eski kayıtlar ayrı bir risk oluşturur. Artık kullanılmayan bir alt alan adının hâlâ bir adrese işaret etmesi, o adresin başkasına geçmesi durumunda sorun yaratır. Saldırgan bu adresi ele geçirerek kurumun alt alan adı üzerinden içerik yayımlayabilir. Bu senaryo, alt alan adı devralma olarak bilinir. Düzenli kayıt temizliği bu riski ortadan kaldırır.

Özellikle bulut hizmetlerine işaret eden kayıtlar dikkat gerektirir. Bir bulut kaynağı silindiğinde ilgili kayıt kalırsa, aynı adı alan başka bir kullanıcı o kayda sahip olur. Bu durum, kurumun alan adı altında kontrolsüz içerik yayımlanmasına yol açar. Kayıtların kaynak yaşam döngüsüyle birlikte yönetilmesi gerekir. Otomasyon bu eşleşmeyi sağlayabilir.

Kayıt envanterinin dönemsel olarak dışarıdan doğrulanması da önerilir. Kurumun alan adı altındaki tüm kayıtların listelenmesi ve her birinin sahibinin belirlenmesi bu çalışmanın çıktısıdır. Sahipsiz kayıtlar kaldırılır. Bu çalışma, saldırı yüzeyini görünür biçimde daraltır. Ayrıca envanter, olay incelemelerinde de kullanılır.

Şifreli Ad Çözümlemenin İki Yüzü

Şifreli ad çözümleme, sorguların yol üzerinde okunmasını ve değiştirilmesini engeller. Bu, kullanıcı gizliliği ve zehirlenmeye karşı koruma açısından olumludur. Ancak aynı özellik, kurumun kendi ağındaki görünürlüğünü de azaltır. Zararlı yazılımların ad çözümleme trafiği artık incelenemez hâle gelebilir. Bu nedenle kurumsal politika açıkça belirlenmelidir.

Yaygın yaklaşım, şifreli çözümlemenin kurum içi sunucularla yapılmasıdır. Böylece hem yol üzerindeki riskler ortadan kalkar hem de görünürlük korunur. İstemcilerin dış şifreli çözümleyicilere erişimi ise engellenir. Bu yapılandırma, tarayıcı ayarlarının da yönetilmesini gerektirir. Merkezî politikayla uygulanması önerilir.

Ayrıca ad çözümleme kayıtlarının güvenlik analizinde kullanılması değerlidir. Bilinen zararlı alan adlarına yapılan sorgular, bulaşmanın erken göstergesidir. Bu analiz için kayıtların merkezî toplanması gerekir. DNS log analizi birçok olayda ilk ipucunu üretir. Bu nedenle kayıt toplama önceliklendirilmelidir.

DNSSEC Uygulamasında Dikkat Edilecekler

İmzalama mekanizmasının uygulanması, hem alan adı sahibi hem çözümleyici tarafında adım gerektirir. Alan adı sahibi kayıtlarını imzalar, çözümleyici ise imzaları doğrular. Yalnızca bir taraf uygulandığında koruma tam sağlanmaz. Bu nedenle iki tarafın da yapılandırılması gerekir. Kurum, hem kendi alan adını imzalamalı hem doğrulama yapan çözümleyiciler kullanmalıdır.

İmzalama anahtarlarının yönetimi ayrı bir dikkat gerektirir. Anahtarların süresi dolduğunda ya da yanlış yenilendiğinde alan adı tamamen çözümlenemez hâle gelebilir. Bu, kurumun tüm hizmetlerinin erişilemez olması anlamına gelir. Bu nedenle anahtar yenileme süreci otomatikleştirilmeli ve izlenmelidir. Manuel süreçler yüksek risk taşır.

Privia Security olarak ad çözümleme altyapısı ve alan adı yönetimi güvenliğinialtyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.